Que pouvons-nous faire pour lutter contre l'épidémie d'hameçonnage actuelle ?

Ces dernières semaines, les campagnes d'espionnage sophistiquées menées par des États-nations ont fait la une de l'actualité de la cybersécurité. Mais alors que ces incidents soulèvent des questions importantes sur la sécurité de la chaîne d'approvisionnement dans une économie mondialisée, j'avais les yeux rivés sur une autre histoire, qui met en lumière la menace que représentent le phishing et le piratage de compte pour les entreprises. C'est une histoire que beaucoup d'entre vous ont déjà entendue, mais elle n'en est pas moins importante, d'autant plus que les niveaux de sensibilisation continuent de baisser.

Heureusement, il existe de nombreuses mesures que vous pouvez prendre pour protéger vos biens les plus précieux et arrêter les pirates dans leur élan. Les technologies optimisées par l'intelligence artificielle qui existent aujourd'hui ont déjà un impact, parallèlement à des mesures plus traditionnelles telles que l'amélioration de la formation du personnel.

Les clés du royaume

La plupart des hackers cherchent à obtenir le retour sur investissement le plus rapide et le moins cher possible. C'est ce qui fait de l'hameçonnage une stratégie aussi efficace. Il tire parti du maillon le plus faible de la chaîne de sécurité d'une entreprise, à savoir son personnel. Un nouveau rapport illustre les principaux défis et l'ampleur du problème grâce à l'analyse de près de 50 000 campagnes d'hameçonnage réelles ciblant des entreprises dans 23 secteurs d'activité.

Les identifiants de compte sont les clés numériques qui déverrouillent l'accès aux données sensibles des clients et à la propriété intellectuelle de l'entreprise. Il n'est donc pas surprenant que la moitié des e-mails considérés comme malveillants par ces entreprises soient liés à des tentatives de collecte d'identifiants et d'informations système auprès des utilisateurs. La compromission d'un compte doté de privilèges ouvre un accès vers les données lucratives de l'entreprise. L'hameçonnage est à l'origine de 93 % des fuites de données analysées par Verizon l'année dernière.
Un clic suffit

L'hameçonnage consiste généralement à usurper l'identité d'un expéditeur autorisé, par exemple une banque ou un collègue, en créant souvent un sentiment d'urgence. L'utilisateur a donc l'impression qu'il n'a pas beaucoup de temps pour réfléchir avant de cliquer. Certains sont très ciblés, mais même les messages génériques envoyés en masse peuvent contenir des informations pertinentes. Le terme « facture » est apparu dans six des dix campagnes d'hameçonnage les plus efficaces en 2018. Un clic peut amener l'utilisateur vers un site frauduleux demandant les précieuses informations d'identification du compte. Il peut également déclencher le téléchargement d'un logiciel malveillant caché. Près du quart (21 %) des e-mails malveillants signalés et évalués dans le cadre de cette analyse contenaient apparemment des pièces jointes malveillantes.  

Ils peuvent contenir des voleurs d'informations, des portes dérobées ou même des ransomwares. Plus d'un tiers des organisations mondiales interrogées par Barracuda Networks dans le cadre de son rapport Tendances en matière de sécurité des e-mails de 2018 ont déclaré avoir subi une telle attaque. Avec des identifiants piratés, les hackers peuvent également s'attaquer à de grandes bases de données clients contenant encore plus d'identifiants et de données personnelles, qui sont très monnayables dans le milieu de la cybercriminalité. Un autre rapport publié cette semaine par la société de renseignement Blueliv a révélé une augmentation de 141 % du volume d'identifiants compromis découverts dans les botnets nord-américains au cours des deux derniers trimestres.

La mauvaise nouvelle, c'est que les attaques d'hameçonnage seront de plus en plus difficiles à repérer. Il est fort possible que les cybercriminels se tournent vers les technologies d'IA pour « apprendre » le style d'écriture et le comportement des employés en matière de messagerie afin de pouvoir créer de faux e-mails très convaincants.

La riposte

Si vous pensez que votre entreprise est trop petite pour être ciblée, détrompez-vous. Si le domaine de votre entreprise est suffisamment réputé, les comptes de messagerie des employés peuvent être piratés et détournés non seulement pour attaquer vos stocks de données, mais aussi pour envoyer d'autres e-mails d'hameçonnage à vos partenaires et à vos clients. Les e-mails frauduleux paraîtront ainsi plus convaincants et ruineront par la même occasion la réputation durement acquise de votre marque.

Compte tenu des risques évoqués et de la médiatisation continue de l'hameçonnage, il est décevant de constater que 20 % des employés du monde entier ayant participé à un nouveau rapport ont déclaré ne pas savoir ce qu'était l'hameçonnage, et que 13 % d'entre eux se sont trompés de réponse. Heureusement, il existe des mesures que vous pouvez prendre dès aujourd'hui pour limiter certains de ces risques véhiculés par le courrier électronique.

Commencez par l'authentification multifacteur : grâce à l'authentification multifacteur (MFA), les hackers ne peuvent pas accéder aux comptes avec de simples mots de passe, ce qui neutralise leurs stratégies d'hameçonnage.

Formez votre personnel : vient ensuite la formation du personnel pour transformer ce maillon faible en une première ligne de défense solide. Effectuez des tests d'hameçonnage au cours de courtes sessions en utilisant des scénarios réels et recueillez les commentaires de chaque utilisateur. Ils doivent identifier des éléments tels que des expéditeurs, des pièces jointes et des liens hypertextes inhabituels dans les e-mails non sollicités. Veillez à impliquer les cadres supérieurs et la direction, car ces derniers, étant très occupés, sont souvent les premiers à cliquer sans réfléchir. Formez également les travailleurs à temps partiel ainsi que les consultants, partenaires et contractants. Peu importe qui clique sur ce lien d'hameçonnage, le résultat sera tout aussi dommageable.  

Investissez dans ce qu'il y a de mieux : équipez-vous de solutions de protection des e-mails d'un fournisseur réputé, afin d'identifier les URL et les pièces jointes malveillantes et de bloquer les e-mails avant même qu'ils ne parviennent à l'utilisateur. Les fonctionnalités comportementales et de sandboxing peuvent contribuer à la détection des menaces de type zero-day les plus sophistiquées.

L'IA est votre amie : bien que les cybercriminels se tourneront probablement vers l'IA pour rendre leurs e-mails d'hameçonnage plus convaincants, les « white hats » utilisent déjà des fonctionnalités permettant d'automatiser la détection du spear-phishing. Ces systèmes apprennent les schémas de communication propres à votre entreprise afin de mieux repérer les anomalies en temps réel.

Je cesserai de parler de l'hameçonnage lorsqu'il ne causera plus de problèmes aux entreprises. Selon les dernières informations, plus de deux cinquièmes (43 %) des entreprises britanniques ont subi une faille de sécurité ou une attaque au cours des 12 derniers mois. Cette tendance est probablement observée dans toute l'Europe. Pour une fois, la lutte contre l'hameçonnage va obliger les « black hats » à sortir de leur zone de confort.

Barracuda offre une sécurité des e-mails complète qui protège votre entreprise contre le spear phishing et d'autres attaques. Pour plus d'informations, consultez notre site Web d'entreprise ici.